10.TETRA安全技术

TETRA系统VPN技术

为了对组群进行管理，TETRA系统为用户提供 VPN功能； VPN：虚拟专网，公共网络上建立专用网络的技 术；


TETRA虚拟专网：建立在TETRA数字集群网络基 础上的一种功能性网络，对用户来说功能上相当 于实在专用网络，向用户提供传统专业网的功能； 意义：使多个原来单独建网的部门使用集群的虚 拟专网，可以节省大量的资金和频率资源，提高 投入产出，有利于后期的维护、扩容、升级等。




TETRA主要技术特性
信道间隔 双工间隔 25kHz每信道有四个逻辑信道 45MHz
调制
调制信道比特率
π/4DQPSK
36kbit/s
语音编码速率
复用方式
4.8kbit/s ACELP编码方式
TDMA，4个时隙
用户数据速率
数据速率可变范围 接入方法
7.2kbit/s每时隙
2.4~28.8kbit/s 时隙ALOHA
EI
Audio DSC
TBS
TCS(TETRA Comnectivity Server)：一个服务平台，通过API为第三方提供TETRA服务； TCS Client：通过TCS API提供的系统服务来完成特定功能，可以是调度台(DWS)或第三方应用， DWS完成TETRA网络的系统调度； DSC(Dispatcher Station Controller)：DSC通过单独的连接为TSC Client提供语音服务信道，是一 个连接TETRA网络和终端用户的附加设备
GGSN DNS NETAct AKES CDD
TETRA IP Backbone
Data TCS(API) TBS DXT
TCP/IP
Data
TCS Client
DNS：域名解析；
AKES(Authentication Key Managenment Server)：认证密钥管理服务器； CDD(Configuration and Data Distribution Server)：配置和数据分发服务器，负责配 置TETRA连接服务器TCS；

Motorola的iDEN； 以色列RAFAEL的跳频多址FHMA系统 欧洲电信标准协会(ETSI)的TETRA系统
TEpean Trunked Radio Access泛欧集群无线接 入系统 欧洲电信标准协会负责制定，1995公布第一个核心标准，目前 已经制定3批100多个标准； 1998年开始接受商用系统订货 目前应用最为广泛的数字集群移动通信系统 可提供语音、电路数据、短数据信息、分组数据业务的集群、 非集群以及直通模式(移动台对移动台)的通信； 基于TDMA(时分多址)技术，包括了TETRA话音与数据、 TETRA分组数据和TETRA直通方式3个功能性标准集 支持功能强大的移动台脱网直通方式。

TETRA鉴权的前提是密钥K已经成功存在MS和 AuC之上； 实际中，K的产生、分配、管理和更换都是鉴权 的关键和核心：


AKD鉴权密钥分配通用模式； ITSI和K的更换； AKD系统安全性分析
AKD的通用模式






每个MS都有不同的密钥K和惟一标识符ITSI(Individual TETRA Subscriber Identity)，两者组成了 一个ITSI-K对； 因MS生产和鉴权中心AuC一 般不同时建立，故AKD是异 步异地过程； REF GENERATION REF为索引，用来惟一标识 每个ITSI-K对； MS REF REF GENERATION：索引生 MANUFACTURER 成单元，分配一个未用的 K GENERATION REF给新MS； K DELIVERY：视为一个信 息管理系统，K REF GENERATION可在其内部， REF,K K K DELIVERY 也可以在远程，其安全是整 SwMI 个系统的重点； ITSI DELIVERY：服务提供 REF,ITSI 者，拥有许可权的用户可向 其申请ITSI； REF K GENERATION和ITSI ITSI ITSI DELIVERY GENERATION：K和ITSI生 成单元，存有(REF,K)或 ITSI GENERATION (REF,ITSI)的库，根据申请 者REF来分配K和ITSI；

业务类型


TETRA系统结构
MS(Mobile Station)手机和车载台，可连接 外设，插入SIM卡； TBS(The Base Station of TETRA)，基站； DXT(Digital Exchange for TETRA)，在各 网络实体间交换语音和数据，处理所有个 人和组群业务，并支持基于IP数据业务； NETAct：网管 GGSN：GGSN作为IP网关，为终端用户 提供IP地址，同时负责管理IP服务；
TETRA的频带利用率高、接入速度快、话音质量好
TETRA集群方式和业务类型

集群方式：



消息集群：调度通话期间，控制系统始终给用户分配一条固定信 道。用户最后一次完成通话后系统保留6~10s的“信道保留时间”。 信道不是动态分配而是按需分配，频谱利用率不高； 传输集群：信道是完全动态分配的，用户按下PTT就分配信道， 用户松开PTT马上就释放信道，频谱利用率高，但可能通话不联 连续不完整； 准传输集群：缩短消息集群中的“信道保留时间”(0.5~6s)，增加 用户每次发话完毕的松开PTT开关后的时间； 基本业务：点对点单呼、点对多点群呼、广播呼叫； 电路方式无保护数据7.2×Nkbit/s 低保护数据4.8×Nkbit/s 高保护数据2.4×Nkbit/s 补充业务：呼叫转移、呼入/呼出呼叫禁止、呼叫等待、呼叫保持 区域选择、动态组号码分配、延迟接入、优先呼叫、 预占优先呼叫、调度台核查呼叫、环境侦听
XRES1 DCK1
DCK1导出密钥，用于空中接口加密
MS对AuC单向鉴权
MS RS K TA21 RAND2 认证中心 RS K TA21
RAND2
KS’ TA22
RES2,RS R2
RAND2 TA22
KS
XRES2 DCK2
RES2 DCK2
AuC对MS的双向鉴权
生成RS RS K 认证中心
ITSI的更换
SwMI
用户更换手机 或者更换SIM 卡时，需要更 换新的ITSI； 见右图；


对空中信道传输的信息进行加密保护，这就是所谓空 中接口加密(AIE:Air Interface Encryption)；
AIE是基于对称算法的流密码加密机制；


发送端将要发送的二进制比特流和密钥比特流加密， 接收端用同样的密钥比特流解密；
TETRA鉴权基本过程

鉴权基本单元：

MS：移动台； BS：基站； AuC：鉴权中心，存储网内所有MS的鉴权数据，和基站相连； SwMI：TETRA系统的交换与管理网络基础设施，可认为是BS和Auc的综 合体；
TA11
MS K RS KS RS,KS,KS’
TA21
KS’
TA11
KS RAND1 TA12 RES1 DCK1 KS’
TA21
RAND1,RS
生成RAND1 KS RAND1
BS
生成RAND2 RAND2 TA22
RES1,RAND2
比较 TA12 RES1 和 XRES1 XRES1 DCK1

挑战/应答协议，基于对称密码算法，鉴权中，密钥Ｋ非常重要； K长度太长，安全但计算量大；K长度短，安全性降低；(128bit) 为了降低MS端运算负载，随机种子RS总是在BS端产生； 优越性：双向鉴权、密钥安全K、防中间人攻击； 漏洞缺陷：无法解决重放攻击、恶意破坏和干扰篡改和抵赖；
鉴权密钥分配

专业移动通信系统




数字集群系统

数字集群系统



系统所有可用信道为系统全体用户共有，是共享资源、 分担费用、共用信道设备及服务的多用途、高效能的 无线调度通信系统； 功能：群组呼叫、紧急呼叫、发起或接收与公网间的 呼叫、提供可靠保密信道、快速建立通话、优先等级 划分、动态重组等 先进的数字集群体制：
TETRA安全性

安全威胁：


非法窃听
非授权访问数据 完整性威胁 拒绝服务攻击

安全性设计：

用户认证：包含两方面，为合法用户提供服务，拒绝非法用户的请求； 网络设施认证：用户能够鉴别网络的有效性； 信息保护：对信令、数据、语音等信息提供加解密； 安全管理：对于不同用户授予不同权限，对群组用户进行安全管理；
TETRA安全
中国科学技术大学 软件学院
提纲
TETRA数字集群系统 TETRA系统鉴权和空中接口加密 TETRA系统端到端保密通信 TETRA密钥管理中心

专业移动通信系统

移动通信系统


公众移动通信系统：面向整个社会，服务对象为公众用户，包括 蜂窝电话、无线寻呼、无绳电话等，由公用电信企业投资； 专业移动通信系统：专业单位自行投资，面向专有用户，包括调 度指挥系统、车辆位置报告系统等。
由MS发起对BS的单向鉴权：由MS发起挑战，BS给出应答，再由MS根据 BS的应答结果，判断SwMI是否通过鉴权； 由BS发起对MS的单向鉴权：同上，只是由BS发起挑战； 由MS发起对BS的双向鉴权：由MS发起挑战，BS在应答的同时，也向MS 发起挑战； 由BS发起对MS的双向鉴权：同上，只是由BS发起挑战； RAND1、RAND2(80bit随机数)；KS会话密钥；RS(80bit随机种子)；K鉴 权密钥；DCK导出密钥，用于空中接口加密；RES1、RES2(32bit鉴权响 应)；R1、R2回应。